La nueva batalla del canal de ciberseguridad

Por qué la confianza y la identidad no humana se están convirtiendo en el próximo campo de batalla del canal de ciberseguridad

Qué indica la próxima ola de modelos fundamentales con capacidad cibernética para los partners, y dónde se centrarán los esfuerzos

Miguel Almeida, Country Manager y Sales Director de Westcon-Comstor Iberia

La ciberseguridad siempre ha evolucionado por fases, desde la movilidad y la nube hasta las aplicaciones y la identidad. La IA cambia las reglas del juego porque comprime el tiempo, acelerando la creación de amenazas y reduciendo el margen para su detección y defensa. El espacio de tiempo que transcurre entre la vulnerabilidad y la explotación se ha reducido drásticamente en los últimos años, con la llegada de la era de la IA acelerando aún más esta tendencia.

Por eso, el lanzamiento del Proyecto Glasswing de Anthropic representa un momento clave para el sector. Si un modelo tan capaz como Claude Mythos puede acelerar significativamente la detección de vulnerabilidades, los clientes necesitan tener la seguridad de contar con fuertes controles, evidencia y gobernanza.

Anthropic ha posicionado a Mythos como un avance significativo en la ciberseguridad, confirmando que puede identificar y explotar vulnerabilidades de Zero Day en todos los principales sistemas operativos y navegadores web cuando se le indica. La empresa asegura que este salto cualitativo es la razón por la que el modelo no se lanza públicamente y que el acceso está restringido a un programa de partners limitado y centrado en la defensa. Sin embargo, la compañía también ha confirmado que está investigando un informe sobre acceso no autorizado a Mythos a través de un proveedor externo.

Esta iniciativa de acceso seguro no se limita a un único proveedor de plataformas de IA. OpenAI está ampliando su programa Trusted Access for Cyber e introduciendo una variante cibernética, GPT 5.4 Cyber, para defensores verificados y equipos responsables de la protección de software crítico.

La razón por la que esta nueva generación de modelos de infraestructura con capacidad cibernética está teniendo tanto éxito es porque responden a lo que muchos de nosotros percibimos en la RSAC de este año: los mundos de la IA y la ciberseguridad se están volviendo interdependientes.

La IA no puede ir sin la ciberseguridad y la ciberseguridad no puede ir sin la IA, de la misma manera en la que el cloud y la seguridad cloud se convirtieron en inseparables hace una década.

Los gigantes de la IA ocupan ahora un lugar central en los debates sobre seguridad. Y es que el mercado reacciona en tiempo real cuando surgen nuevas capacidades, incluso antes de que se comprendan todos los detalles.

Al mismo tiempo, la transformación digital está cambiando el problema de la ciberseguridad: la cuestión ya no es solo cómo proteger un modelo, sino cómo proteger cientos o miles de agentes a medida que se integran en los flujos de trabajo cotidianos.

En este contexto, presentamos tres cambios que los partners centrados en la ciberseguridad deberían priorizar ahora.

1) La IA agéntica necesita límites, no exageraciones

Abordar el tema de la ciberseguridad cambia a medida que los clientes exploran la IA con capacidad de gestión de agentes. Cuando el software puede realizar acciones en distintos sistemas, la prioridad pasa a ser la autoridad, la contención y la auditabilidad. Los clientes necesitan claridad en cuanto a permisos, registro de eventos, límites de privilegios y recuperación ante comportamientos inesperados.

La RSA Conference ya recalcó por qué esto difiere de la afirmación "IA genérica como una característica". Los riesgos de seguridad de la IA con agentes aumentan con el número de agentes y el alcance de sus acciones. Esto obliga a replantear el diseño, la supervisión y la limitación del acceso e incorpora el modelo de responsabilidad compartida al mundo de la IA.

Las medidas de seguridad también deben tener en cuenta el contexto y la intención, no solo los permisos. Los controles basados en acciones no pueden distinguir con fiabilidad entre una tarea rutinaria y una tarea destructiva que pueda parecer similar sobre el papel. Por ello, las políticas deben evaluar si la acción se ajusta a un objetivo aprobado y si el contexto circundante (usuario, confidencialidad de los datos, sistema y tarea) la hace segura.

Los partners pueden liderar el proceso estableciendo una estructura desde el principio. En la práctica, esto significa vincular los flujos de trabajo con los permisos y la supervisión humana, a la vez que se hacen visibles y comprobables estas medidas de seguridad. El objetivo es lograr una adopción lo suficientemente segura como para poder escalarla.

2) La identidad no humana pasa a ocupar un lugar central

La identidad siempre ha sido fundamental en seguridad. En la era de la IA, se vuelve crucial, sobre todo cuando se trata de identidades no humanas. Las cuentas de servicio, los tokens, las API, las cargas de trabajo y los agentes se multiplican rápidamente, con amplio acceso en muchos casos y una supervisión limitada. Esto amplía el alcance de los ataques y complica la rendición de cuentas.

Para los partners, se trata de una oportunidad de servicios concreta. Los clientes necesitan ayuda para descubrir y clasificar identidades no humanas, racionalizar privilegios, establecer la gobernanza del ciclo de vida y generar informes que sean sólidos en las auditorías y en las conversaciones sobre riesgos.

La RSA Conference ha insistido repetidamente en este punto: la identidad y los datos son fundamentales para garantizar la seguridad de la IA con agentes y las organizaciones que los consideren esenciales serán las que puedan adoptarlos más rápidamente sin aumentar su exposición.

3) Vincular los agentes a la identidad del usuario es ahora fundamental

La identidad no humana es el riesgo más evidente, pero la IA con capacidad de gestión introduce un segundo requisito: la responsabilidad. Los agentes autónomos rara vez actúan de forma aislada; por lo general, lo hacen en nombre de un usuario, un equipo o una función empresarial.

Si un agente realiza alguna acción en un sistema de producción, las organizaciones necesitan saber quién la autorizó, quién es el responsable y qué permisos tenía. Sin esa conexión con el responsable humano, se crea un vacío de responsabilidad que ralentiza la respuesta ante incidentes, debilita la capacidad de auditoría y aumenta el riesgo de incumplimiento normativo.

Vincular los agentes a una identidad de usuario también facilita el consentimiento humano para acciones de mayor trascendencia y reduce el riesgo de privilegios excesivos. Cuando los agentes utilizan cuentas de servicio genéricas, tienden a heredar demasiados permisos por defecto.

Vincular un agente a un propietario específico, o asignarle una identidad de agente única enlazada a una tarea específica, ayuda a aplicar el principio de mínimo privilegio y hace que la incorporación y la baja de usuarios sean controlables, en lugar de dejar agentes "huérfanos" que nadie recuerda desactivar.

Por eso, vincular la identidad de la IA con el usuario es ahora fundamental para una adopción responsable y segura de la IA.

El mandato del partner en una era de amenazas a la velocidad de las máquinas

En medio del revuelo generado por la IA, los clientes se muestran escépticos ante las afirmaciones de "black box" y las promesas de autonomía excesivamente confiadas. Buscan claridad sobre las limitaciones de una herramienta, sus fallos y sus dependencias operativas.

La credibilidad de los partners se convierte en el factor diferenciador. Un enfoque de evaluación coherente que compruebe la transparencia, los modos de fallo, la auditabilidad, la idoneidad de la integración y los costes operativos es vital, especialmente porque los atacantes que utilizan IA con capacidad de respuesta pueden reducir el tiempo de respuesta de horas a minutos o segundos.

Ese cambio de ritmo es precisamente la razón por la que la detección a ritmo humano y la clasificación manual por sí solas van a tener dificultades para mantenerse al día.

Mythos y otros modelos fundamentales de próxima generación son una señal de que la ciberseguridad está avanzando a la velocidad de las máquinas y de que la confianza se juzgará cada vez más por lo que se pueda demostrar.

Los partners que desarrollen estrategias de ciclo de vida basadas en la interpretación de riesgos, límites de actuación, gobernanza de identidad no humana, intermediación honesta y garantías para la alta dirección, participarán en proyectos más estratégicos. Aquellos que se centren únicamente en las transacciones tendrán más dificultades para defender su valor cuando el entorno se vuelva más complejo y dinámico.